أنشأ باحثو استخبارات التهديدات شركة ناشئة وهمية في التمويل اللامركزي وقاموا بتوظيف عمال تكنولوجيا معلومات مشبوهين من كوريا الشمالية كمطورين، وراقبوهم من الداخل.
عكسوا أسلوب الاختراق المعتاد في هذه العملية. بدلاً من القبض على العملاء أثناء محاولتهم الاقتحام، راقبهم الباحثون أثناء عملهم بعد اجتيازهم للمقابلات.
كيف كشفت الشركة الناشئة الوهمية عمال تكنولوجيا المعلومات الكوريين الشماليين
كانت التحقيق نتيجة جهد مشترك بين ماورو إلدريتش من شركة BCA LTD، وهاينر غارسيا من NorthScan، وشركة ANY.RUN. سجل الباحثون شركة Ballena Azul LTD كبروتوكول يخدم حيتان العملات المشفرة.
أنشأوا لها موقعًا إلكترونيًا وهوية تجارية وسجلوا الشركة بالفعل في المملكة المتحدة لتبدو شرعية. ثم تظاهروا بأنهم المؤسسون وقائد الفريق.
استخدم الباحثون منصة ANY.RUN sandbox كبيئة عمل وسجلوا كل حركة للموظفين. قدم أنجيلو كروز، المجنّد الذي التقت به المجموعة على GitHub، أول مطور للفريق.
وصّى ذلك الموظف بتعيين ثاني، الذي جلب ثالثًا معه. اجتاز ثلاثتهم المقابلات وحصلوا على حق الوصول إلى أجهزة سطح مكتب افتراضية كانت في الواقع بيئات مراقبة خاضعة للتحكم الكامل.
وُصف هؤلاء الموظفون في جميع أجزاء التقرير بأنهم مشتبه بانتمائهم إلى وحدة تشوليما الشهيرة، وهي وحدة مرتبطة بمجموعة لازاروس الكورية الشمالية ومتخصصة في زرع عمال تكنولوجيا معلومات مزيفين في الشركات الغربية.
تابعنا على X للحصول على آخر الأخبار فور حدوثها
ما الذي اكتشفه الباحثون
قدّم المطورون بيانات أمريكية مزيفة أثناء الإعداد، بما في ذلك رخص القيادة وأرقام الضمان الاجتماعي المسروقة وحسابات في Lead Bank وCitibank وWise.
كشف بيانات التعريف في إحدى الرخص أنها تمت معالجتها باستخدام Google Gemini وحملت بصمة مائية بتقنية SynthID، ما كشف التزوير على الفور تقريبًا.
كتب الباحثون في تقريرهم أن فريقهم أصبح يمتلك الآن هويات مزيفة وأرقام ضمان اجتماعي مسروقة وحسابات بنكية لغسيل الأموال ومنازل آمنة للميسرين المحتملين ومحافظ عملات مشفرة تتضمن سجلات للمعاملات.
اعتمد العمال بشدة على الذكاء الاصطناعي، حيث استخدموا ChatGPT لكتابة أكواد لا يبدون أنهم يفهمونها ولإكمال المهام، كما شغّلوا أدوات الترجمة الفورية أثناء المقابلات والاجتماعات اليومية.
كشفت العملية كذلك عن البنية التحتية الداعمة، حيث سجل الباحثون مخارج شبكة AstrillVPN وخوادم مستضافة على Vultr وGorilla Servers ومحافظ عملات مشفرة تحتوي على تاريخ للمعاملات. وُجد أن إحدى الخوادم كانت بالفعل مصنفة عبر قواعد بيانات استخبارات التهديدات، ما يدل أنها أعيد استخدامها بحملات سابقة.
ذكر التقرير أن نتائج البحث تظهر أن خطط عمال تكنولوجيا المعلومات في جمهورية كوريا الديمقراطية الشعبية ليست فقط خطراً في التوظيف، بل عند دخولهم، يمكن للعاملين الحصول على وصول شرعي إلى الشيفرة، والأنظمة، وحقوق الملكية الفكرية، وعمليات الأعمال الموثوقة.
اعترف أن المخترقين من كوريا الشمالية شكلوا تهديداً مستمراً لصناعة العملات الرقمية. نسبت TRM Labs نسبة 76% من خسائر عمليات الاختراق في العملات الرقمية لعام 2026 حتى شهر أبريل إلى فرق جمهورية كوريا الديمقراطية الشعبية. وصل حجم السرقات إلى 2 مليار دولار في 2025.
تعمل استراتيجية التسلل بشكل مختلف، حيث يتظاهر العمال الكوريون الشماليون بأنهم مهندسون للفوز بوظائف عن بُعد، ثم يسرقون الأسرار أو يزرعون طريقة للعودة لاحقاً. سبق لمشروع ممول من إيثريوم (eth) أن حدد 100 عامل تكنولوجيا معلومات كوري شمالي مشتبه بهم عبر 53 مشروعاً في العملات الرقمية.
اشترك في قناتنا على يوتيوب لمتابعة القيادات والصحفيين يقدمون رؤى خبراء
